Compliance-Lexikon · NIS-2
NIS-2 Mindestmassnahmen – Praxis
NIS-2 Mindestmassnahmen wird von Auditoren nicht danach bewertet, ob das Thema bekannt ist, sondern ob eine belastbare, datierte Umsetzung nachweisbar ist. Dieser Artikel zeigt, was konkret vorzubereiten ist.
Was Auditoren konkret prüfen
Der Auditor erwartet keinen theoretischen Idealzustand, sondern einen nachvollziehbaren Prozess mit Verantwortlichkeiten, Fristen und Nachweisen. Sind alle zehn in § 30 Abs. 2 BSIG genannten Maßnahmenbereiche mit konkreten, dokumentierten Maßnahmen hinterlegt?
Häufige Fehler in der Praxis
- Maßnahmenbereiche werden pauschal als „erfüllt“ markiert, ohne konkrete Umsetzung nachzuweisen
- Einzelne Bereiche wie Kryptografie oder Lieferkettensicherheit werden übersehen
- Umsetzung existiert, ist aber nicht mit dem jeweiligen Gesetzestext verknüpft dokumentiert
Praxis-Tipp
Die zehn Mindestmaßnahmenbereiche sind Kategorien, keine abschließende Checkliste. Der Auditor prüft die Angemessenheit der Umsetzung, nicht nur deren formales Vorhandensein.
Die zehn Maßnahmenbereiche im Überblick
Zu den Bereichen zählen unter anderem Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs, Lieferkettensicherheit, Sicherheit bei Erwerb und Entwicklung von Systemen, Konzepte zur Bewertung der Wirksamkeit sowie Kryptografie und Verschlüsselung. Jeder Bereich muss risikoangemessen, nicht maximal umgesetzt werden.
Evidence-Anforderungen im Audit
Vorzulegen sind in der Regel: Dokumentierte Zuordnung jeder Mindestmaßnahme zu einer konkreten technischen oder organisatorischen Umsetzung, mit Verantwortlichem und Datum. Eine strukturierte Ablage dieser Nachweise erspart im Audit-Fall zeitraubende Nachrecherchen.
Nächster Schritt
Compliance-Stresstest starten
Kostenloser Stresstest auf Basis der BAM-Objekte – unverbindlich, 20 Minuten.
Die strategische Einordnung – warum NIS-2 Mindestmassnahmen über die technische Umsetzung hinaus Bedeutung hat – findet sich auf Ebene 3.